Amazon GuardDuty 調査レポート

2026年09月19日

開発元: Amazon Web Services (AWS)

カテゴリ: 🛡️ CDN/セキュリティ

公式サイト Docs Markdown

AWSアカウント、ワークロード、データを継続的に監視し、機械学習と統合された脅威インテリジェンスを使用して悪意のあるアクティビティを検出するフルマネージド型脅威検出サービス

総合評価

92点

基準点70点からの評価

オープンソース

非公式・商用

無料プラン

なし

最低価格

$4.00/100万イベント (CloudTrail)

対象ユーザー

セキュリティ担当者DevOpsエンジニアAWS管理者

更新頻度

高

🆕 最新情報: AIによる脅威の自動調査・要約機能や、Amazon Bedrock向けのAI Protectionなどが追加

📋 評価の詳細

👍 加点項目

+5 ワンクリックで全アカウントに導入可能な容易さ
+5 AWSネイティブ統合によるシームレスな運用
+5 AI/MLを活用した高精度な異常検知
+4 エージェントレスでパフォーマンス影響がない
+3 日本語ドキュメントとサポートが充実

総評: AWS環境におけるセキュリティ対策の「一丁目一番地」。導入の手軽さと強力な検知能力を兼ね備え、必須レベルのサービス。

Amazon GuardDuty 調査レポート

1. 基本情報

ツール名: Amazon GuardDuty
ツールの読み方: アマゾンガードデューティ
開発元: Amazon Web Services (AWS)
公式サイト: https://aws.amazon.com/jp/guardduty/
関連リンク:
- ドキュメント: https://docs.aws.amazon.com/guardduty/
カテゴリ: CDN/セキュリティ
概要: Amazon GuardDutyは、AWSアカウント、ワークロード、およびデータを保護するためのインテリジェントな脅威検出サービスです。AWS環境内のログを継続的に監視・分析し、機械学習と脅威インテリジェンスを活用して、不正アクセスやマルウェア感染などのセキュリティ脅威を自動的に検出します。

2. 目的と主な利用シーン

解決する課題: クラウド環境における可視性の欠如、複雑化するサイバー攻撃への迅速な対応、セキュリティ運用の負荷軽減。
想定利用者: セキュリティ運用担当者 (SOC)、クラウドアーキテクト、DevOpsエンジニア。
利用シーン:
- 不正アクセスの検知: 侵害された認証情報の使用や、通常とは異なる場所・時間帯からのAPIコールを検出。
- ワークロードの保護: EC2インスタンス、EKS/ECSコンテナ、Lambda関数における不審な通信やマルウェア活動の検知。
- データ保護: S3バケットへの不正アクセスや、RDSデータベースへの不審なログイン試行の監視。
- コンプライアンス対応: PCI DSSなどのセキュリティ基準で求められる「侵入検知」要件の適合。

3. 主要機能

継続的モニタリング: CloudTrail、VPC Flow Logs、DNSログなどのAWS基盤ログを自動的に収集・分析し、脅威を監視します。
AI/MLによる異常検知: AWSの膨大なデータセットでトレーニングされた機械学習モデルを使用し、通常の振る舞いから逸脱した異常なアクティビティを特定します。
Malware Protection: EC2インスタンスやコンテナワークロードで不審な挙動が検出された際、EBSボリュームをスキャンしてマルウェアを特定します（エージェントレス）。
S3 Malware Protection: S3バケットにアップロードされたオブジェクトを自動的にスキャンし、マルウェアの有無を確認します。
Runtime Monitoring: EKS、ECS（Fargate含む）、EC2のOSレベルのアクティビティ（ファイルアクセス、プロセス実行、ネットワーク接続など）を可視化し、実行時の脅威を検出します。
RDS Protection: Amazon AuroraなどのRDSデータベースへのログインアクティビティをプロファイリングし、ブルートフォース攻撃や不審なログインを検知します。
Lambda Protection: Lambda関数のネットワークアクティビティを監視し、不正な暗号資産マイニングやC&Cサーバーへの通信などを検知します。
統合された脅威インテリジェンス: AWS独自の脅威情報に加え、CrowdStrikeやProofpointなどのパートナーからの情報フィードを活用し、既知の悪意あるIPアドレスやドメインとの通信を検出します。

4. 動作原理・システム構成

アーキテクチャ: クラウド完結型のフルマネージドSaaSアーキテクチャ（AWSネイティブ統合）。エージェントレスで動作する機能（ログ分析）と、エージェントベースで動作する機能（Runtime Monitoringなど）を組み合わせて提供。
主要コンポーネントとデータフロー:
- CloudTrailデータイベントや管理イベント、VPCフローログ、DNSログなどの基盤ログがバックグラウンドでGuardDutyの分析エンジンに自動でルーティングされます。ユーザー側の環境に負荷をかけることなく継続的に分析が行われます。
- 脅威が検知された場合、「Findings（検出結果）」として生成され、AWS Security Hub、Amazon EventBridge、Amazon Detectiveへと自動連携させることが可能です。

flowchart TD
    subgraph log_source [ログソース・保護対象]
        A[AWS CloudTrail]
        B[VPC Flow Logs]
        C[DNS Logs]
        D[EKS / ECS / EC2]
        E[Amazon S3]
        F[RDS / Lambda]
    end

    subgraph guardduty [Amazon GuardDuty]
        G[ログ・データ収集]
        H[AI/ML 分析エンジン]
        I[脅威インテリジェンス照合]
        G --> H
        G --> I
        H --> J[脅威・異常の検知]
        I --> J
    end

    A -.-> G
    B -.-> G
    C -.-> G
    D -.-> G
    E -.-> G
    F -.-> G

    subgraph external_action [外部連携・対応]
        J --> K[Amazon EventBridge]
        J --> L[AWS Security Hub]
        J --> M[Amazon Detective]
        K --> N[SNS 通知 / Slack]
        K --> O[Lambda による自動修復]
    end

特筆すべき要素技術:
- 機械学習と異常検知（AI/ML）による行動プロファイリング。
- AWS公式およびサードパーティ（CrowdStrike、Proofpointなど）が提供する脅威インテリジェンスフィード。
- EBSボリュームのマルウェアスキャン機能や、コンテナ/OSレベルの詳細なファイルアクセス・プロセス実行を可視化するRuntime Monitoring技術。

5. 開始手順・セットアップ

前提条件:
- AWSアカウント
- 適切なIAM権限（Admin権限推奨）
有効化手順（コンソール）:
1. AWSマネジメントコンソールで GuardDuty を開く。
2. 「今すぐ始める (Get Started)」をクリック。
3. 「GuardDutyの有効化 (Enable GuardDuty)」ボタンをクリックするだけで、分析が開始される。

CLIでの有効化:

# Detectorを作成して有効化
aws guardduty create-detector --enable

初期設定（推奨）:
- S3 Protection / Kubernetes Protection 等の追加機能: 必要に応じて設定画面から有効化（多くはデフォルトでONまたは推奨設定）。
- 通知設定: Amazon EventBridgeとSNSを組み合わせ、検出結果（Findings）をメールやSlackに通知する設定を行う。
マルチアカウント管理:
- AWS Organizationsと連携し、委任管理者アカウントを設定することで、組織内の全アカウントのGuardDutyを一括管理・有効化できる。

6. 特徴・強み (Pros)

運用の容易さ（フルマネージド）: ログの有効化や転送設定、インフラ構築が一切不要。ワンクリックで即座に分析が始まるため、導入ハードルが極めて低い。
パフォーマンスへの影響なし: ログ分析はAWSのバックエンドで行われるため、顧客のワークロード（EC2等のCPU/メモリ）に負荷をかけない（Runtime Monitoringのエージェント利用時を除く）。
AWSネイティブ統合: Security Hub、Detective、EventBridgeなど他のAWSサービスとシームレスに連携し、検知から調査、対応までの自動化フローを組みやすい。
コスト効率: 高価なサードパーティ製IDS/IPSアプライアンスを購入・運用する必要がなく、使用量に応じた従量課金で利用できる。

7. 弱み・注意点 (Cons)

防御（遮断）機能ではない: あくまで「検知」サービスであり、WAFやセキュリティグループのように攻撃を直接ブロックする機能ではない（対応には別途自動化が必要）。
ログ量によるコスト増加: ログの生成量（特にVPC Flow LogsやS3データイベント）が非常に多い環境では、分析コストが高額になる場合がある。
検知のタイムラグ: リアルタイムに近いが、ログの収集・分析プロセスにより、事象発生から検知・通知までに数分〜十数分のラグが発生する場合がある。
カスタマイズの限界: 検知ロジックはAWSが管理しており、ユーザーが独自の検知ルールを細かく作成・調整することは難しい。

8. 料金プラン

課金体系: 従量課金制（初期費用なし、解約金なし）。
無料トライアル: 新規有効化から30日間は無料で全機能を利用可能。

対象	課金単位	料金目安 (東京リージョン)
CloudTrail分析	100万イベントあたり	$4.00 / 100万イベント
VPC Flow Logs / DNS分析	ログ容量 (GB) あたり	最初の500GB: $1.00/GB 次の2,000GB: $0.50/GB
S3 Protection	S3データイベント数	100万イベントあたり $0.80〜
Malware Protection (EBS)	スキャン容量 (GB) あたり	$0.03 / GB
Malware Protection (S3)	スキャン容量 (GB) + オブジェクト数	$0.09 / GB + $0.215 / 1000オブジェクト
RDS Protection	vCPU数 / 月	$1.00 / vCPU
Runtime Monitoring	vCPU数 / 月	$1.50 / vCPU (最初の500vCPUまで)

※ Malware Protection for S3は2025年2月に大幅値下げ（$0.60→$0.09/GB）が実施されました。

9. 導入実績・事例

導入企業: Netflix, Airbnb, Capital One, 楽天グループ, NTTドコモなど多数。
導入事例:
- Netflix: 数十万のインスタンスを持つ大規模環境において、GuardDutyを活用して異常検知を自動化し、セキュリティチームの対応時間を短縮。
- 金融機関: PCI DSS等のコンプライアンス要件を満たすための侵入検知システムとして全アカウントで標準採用。
対象業界: スタートアップからエンタープライズまで、AWSを利用するほぼ全ての組織で「ベースラインのセキュリティ対策」として導入されています。

10. サポート体制

ドキュメント: 日本語ドキュメント（ユーザーガイド、APIリファレンス）が完備されています。ユーザーガイド
コミュニティ: AWS re:Post, JAWS-UG（日本のユーザーグループ）などで活発な情報共有が行われています。
公式サポート: AWS Support（Business / Enterprise Support）により、技術的な問い合わせやトラブルシューティングが可能です。

11. エコシステムと連携

11.1 API・外部サービス連携

API: 検出器の管理、設定、Findingsの取得など、ほぼ全ての機能を操作可能なAPIが提供されています。
外部サービス連携:
- AWSサービス: Security Hub, Detective, EventBridge, Lambda, Systems Manager
- SIEM/SOAR: Splunk, Datadog, Sumo Logic, New Relic
- 通知/チャット: Slack, Microsoft Teams, PagerDuty, SNS

11.2 技術スタックとの相性

技術スタック	相性	メリット・推奨理由	懸念点・注意点
AWS Services (EC2/S3/EKS)	◎	ネイティブ統合により設定不要で保護可能	特になし
Terraform / CloudFormation	◎	Detector作成や設定をIaCで完全に管理可能	マルチアカウント管理時のStackSets利用に注意
Python (Boto3)	◎	SDKが完備されており、Findingsの自動処理を実装容易	APIレート制限の考慮
Kubernetes (EKS)	◎	EKS Audit LogsやRuntime Monitoringで深く統合	アドオンのインストールが必要な場合あり

12. セキュリティとコンプライアンス

認証: IAMによるアクセス制御に対応。
データ管理: ログデータは顧客のAWSアカウント内で分析され、GuardDutyサービス側には保存されません。分析プロセスはAWSのセキュアな環境で行われます。
準拠規格: PCI DSS, HIPAA, SOC 1/2/3, ISO 27001, FedRAMPなど、主要なグローバルコンプライアンス基準に準拠しています。

13. 操作性 (UI/UX) と学習コスト

UI/UX: 検知結果は重要度（High, Medium, Low）ごとに色分けされ、直感的にリスクを把握できます。各Findingには「何が起きたか」「どのリソースが対象か」が明確に示されます。
学習コスト: 有効化自体は非常に簡単ですが、検知された内容（Finding）の意味を理解し、適切に対処（調査・封じ込め）を行うためには、一定のセキュリティ知識とAWSの知識が必要です。

14. ベストプラクティス

効果的な活用法 (Modern Practices):
- 全アカウント・全リージョンでの有効化: 攻撃者は監視の薄いリージョンを狙うため、AWS Organizationsを使用して全リージョンで強制的に有効化する。
- 自動通知と自動化: High/Mediumの重要アラートはSlack等へ即時通知し、既知の攻撃パターンに対してはLambda等で自動遮断（Security Group変更など）を行う。
- 抑制ルール（Suppression Rules）の活用: ペネトレーションテストや意図的なスキャンなど、既知の安全なアクティビティを除外し、アラート疲労を防ぐ。
陥りやすい罠 (Antipatterns):
- 有効化して放置: 通知設定を行わず、マネジメントコンソールも見ないため、侵害に気づかない。
- コスト懸念による部分導入: ログ量の多いアカウントだけ無効化するなどして、セキュリティホールを作る。

15. ユーザーの声（レビュー分析）

調査対象: G2, ITreview
総合評価: 4.5/5.0 (G2)
ポジティブな評価:
- 「スイッチを入れるだけで安心感が得られる。導入の手間がほぼゼロ。」（G2より引用）
- 「エージェントレスでここまで詳細に可視化できるのは素晴らしい。」（G2より引用）
- 「コストが予測しやすく、効果に対して非常に安価だと感じる。」（G2より引用）
ネガティブな評価 / 改善要望:
- 「大量のログが出る環境だと、予想以上にコストがかかる場合がある。」（G2より引用）
- 「検知内容が専門的すぎて、どう対処すればいいか迷うことがある。」（G2より引用）
- 「誤検知（False Positive）を減らすためのチューニングが少し難しい。」（G2より引用）
特徴的なユースケース:
- セキュリティ部門がないスタートアップが、とりあえずのセキュリティ対策として導入し、Slack通知で運用するケース。

16. 直近半年のアップデート情報

2026-07-14: GuardDuty AI Protectionの一般提供
- 生成AIアプリを保護するための「GuardDuty AI Protection」が公開され、Amazon Bedrockのガードレール情報やモデルの詳細なスキャン結果を提供するようになりました。
2026-06-23: AI-powered investigations (Amazon Detective 連携)
- セキュリティの検出結果を自動的に分析し、関連するアクティビティを相関させてリスク評価、信頼度スコアリング、MITREテクニックの分類、 actionable next steps を含む構造化されたサマリーを生成する「AI主導の調査」機能が追加されました。
2024-03-29: Runtime Monitoring での新しい脅威検出
- Runtime Monitoring において、EC2インスタンスやコンテナ上のセキュリティ上重要なシステムファイルが変更されたことを検出する3つの新しい finding types（Persistence, PrivilegeEscalation, DefenseEvasion）が追加され、ファイル改ざんによる不正侵害の検知が強化されました。
2024-03: Malware Protection for AWS Backup
- Amazon EC2、Amazon EBSに加えて、S3のバックアップデータ（Point-In-Time Recovery Points等）に対するマルウェアスキャンのサポートが追加され、復旧時の脅威混入リスクを低減します。

(出典: AWS What’s New / AWS CLI Changelog)

17. 類似ツールとの比較

17.1 機能比較表 (星取表)

機能カテゴリ	機能項目	Amazon GuardDuty	Microsoft Defender for Cloud	AWS Security Hub	Datadog
基本機能	導入容易性	◎ ワンクリック	◯ Azureでは容易	◎ AWSネイティブ	△ Agent導入等が必要
監視範囲	クラウドログ分析	◎ AWSログ全般	◎ マルチクラウド	◯ 体制一元化	◎ インフラ・APM統合
保護機能	脅威検知・AI分析	◎ AI Protection等搭載	◎ Agentic AI (Copilot連携)	△ 集約・可視化中心	◎ Bits AI等搭載
コスト	運用コスト	◯ 従量課金	◯ Foundationalは無料	◯ リソース課金	△ 細分化・高価格化しがち

17.2 詳細比較

ツール名	特徴	強み	弱み	選択肢となるケース
Amazon GuardDuty	AWS純正の脅威検知	導入が圧倒的に簡単で、AWS環境への負荷がない。コストパフォーマンスが良い。	攻撃を止める機能はない。詳細なフォレンジックには別途Detective等が必要。	AWSを利用する全てのアカウント。まずはこれを入れ、必要に応じて他を追加する。
Microsoft Defender for Cloud	マルチクラウド対応CNAPP	Azure, AWS, GCPを統一ポリシーで管理でき、Microsoftエコシステムとの強力な連携とAI機能(Copilot)が強み。	複数のポータルをまたがる設定が必要で、ライセンス体系も複雑になる場合がある。	Azureがメインの環境や、マルチクラウド環境で統一された高度なセキュリティガバナンスが必要な場合。
AWS Security Hub	AWS環境の統合セキュリティ	脆弱性管理、CSPM、GuardDutyなどのセキュリティアラートを単一コンソールに集約・可視化できる。	単体で脅威を検知するより、他の検知ツール（GuardDuty等）からの情報に依存する部分が大きい。	AWS環境全体のコンプライアンス管理や、アラート・脆弱性状況を一元管理して自動修復を行いたい場合（GuardDutyと併用推奨）。
Datadog	統合オブザーバビリティ・APM	インフラ、APM、ログ、セキュリティ( Bits AI )を単一で提供し、既存環境への導入が容易。	多機能な反面、料金体系が製品ごとに細分化されており、大規模なログ収集だとコスト見積もりが複雑。	運用・パフォーマンス監視とセキュリティ監視を統合して、DevOps・SREチーム全体で横断的に利用したい場合。

18. 総評

総合的な評価:
- AWSを利用する上で「入れない理由がない」必須のセキュリティサービスです。低コストかつ最小限の運用負荷で、アカウント侵害やマルウェア感染などの重大なリスクを検知できる費用対効果の高さは圧倒的です。セキュリティの専門家がいない組織でも、これを入れるだけで最低限の監視体制が整います。
推奨されるチームやプロジェクト:
- 全てのAWS利用ユーザー: 特に、セキュリティ専任担当者がいない小規模チームから、高度なSOCを持つ大企業まで幅広く推奨されます。
選択時のポイント:
- 「AWSを使っているか」の一点です。AWS環境であれば、まずはGuardDutyを有効化し、その上でより高度な要件（自動遮断、詳細なEDR、マルチクラウド統合など）がある場合に、サードパーティ製品や追加サービスを検討するのが定石です。

📋 評価の詳細

👍 加点項目

関連レポート

関連レポート

Amazon GuardDuty 調査レポート

1. 基本情報

2. 目的と主な利用シーン

3. 主要機能

4. 動作原理・システム構成

5. 開始手順・セットアップ

6. 特徴・強み (Pros)

7. 弱み・注意点 (Cons)

8. 料金プラン

9. 導入実績・事例

10. サポート体制

11. エコシステムと連携

11.1 API・外部サービス連携

11.2 技術スタックとの相性

12. セキュリティとコンプライアンス

13. 操作性 (UI/UX) と学習コスト

14. ベストプラクティス

15. ユーザーの声（レビュー分析）

16. 直近半年のアップデート情報

17. 類似ツールとの比較

17.1 機能比較表 (星取表)

17.2 詳細比較

18. 総評